第 12-26-261 号 2012 年 10 月 1 日 独 立 行 政 法 人 情 報 処 理 推 進 機 構 今 月 の 呼 びかけ SNS におけるサービス 連 携 に 注 意! ~ あなたの 名 前 で 勝 手 に 使 われてしまいます ~ はじめに (ご 案 内 ) 2012 年 9 月 まで 毎 月 公 表 しておりました コンピュータウイルス 不 正 アクセスの 届 出 状 況 につ きましては 2012 年 10 月 より 四 半 期 毎 の 公 表 とさせていただくことになりました 2012 年 の 第 3 四 半 期 分 の 届 出 状 況 公 表 は 10 月 中 旬 を 予 定 しております なお 今 月 の 呼 びかけ につきましては 従 来 通 り 毎 月 の 公 表 を 予 定 しております 最 近 インターネット 上 のサービスである Twitter(ツイッター) などのミニブログサービスや mixi (ミクシィ) Facebook(フェイスブック) Google+(グーグルプラス) などの SNS(ソーシャ ルネットワーキングサービス)が 人 気 です これらのサービスは 今 の 自 分 の 行 動 や 考 えを 簡 単 にイン ターネット 上 に 発 信 できることや 同 じ 趣 味 や 考 えを 持 つ 利 用 者 同 士 の 交 流 の 場 として 利 用 できること が 特 徴 となっており 多 くの 利 用 者 を 集 めています その 反 面 悪 意 ある 者 からサービス 利 用 者 が 狙 わ れるようになりました 例 えば 自 分 では 何 もしていないのに Twitter 上 で 勝 手 に 投 稿 された とい った 相 談 などが 複 数 寄 せられています Facebook では 悪 意 あるサイトへのリンクを 含 む 投 稿 が 確 認 さ れています IPA で 調 査 した 結 果 SNS 間 のサービス 連 携 機 能 を 悪 用 された 場 合 に こうした 被 害 が 発 生 し 得 るこ とを 確 認 しました ここでは サービス 連 携 機 能 とそれを 悪 用 した 被 害 の 実 例 を 説 明 するとともに 解 消 方 法 についていくつかの SNS の 実 際 の 画 面 を 用 いて 説 明 します 図 1-1:サービス 連 携 のイメージ 図 - 1 -
(1) SNS 間 のサービス 連 携 例 SNS 間 における 典 型 的 なサービス 連 携 の 例 を 示 します Twitpic と Twitter の 連 携 Twitpic によってアップロードした 画 像 を Twitter のツイートを 通 じて 簡 単 に 共 有 することが できます mixi と Twitter の 連 携 mixi 上 でのつぶやき(mixi ボイス)を 自 分 の Twitter でのツイートに 反 映 することができま す またその 逆 も 可 能 です Facebook と Yahoo! Mail の 連 携 Yahoo! Mail 内 のアドレス 帳 を Facebook 側 が 読 み 取 ることを 許 可 することにより Yahoo! Mail のアドレス 帳 に 含 まれる 知 人 に 対 して Facebook への 招 待 状 を 送 信 することができます Facebook と Gmail の 連 携 Gmail 内 のアドレス 帳 を Facebook 側 が 読 み 取 ることを 許 可 することにより Gmail のアド レス 帳 に 含 まれる 知 人 に 対 して Facebook への 招 待 状 を 送 信 することができます Pinterest と Twitter の 連 携 Pinterest 上 で 画 像 をアップロードした 時 に 画 像 の URL とメッセージを 自 動 的 に Twitter 上 でツイートすることができます 上 記 の 連 携 は 画 面 表 示 をよく 読 まずに 操 作 すると 本 人 が 意 図 しないまま 開 始 してしまうこと があります 意 図 しないサービス 連 携 に 注 意 してください 連 係 解 除 の 方 法 は (3) 対 策 の 中 で 説 明 します 例 ) 画 像 共 有 サービスと Twitter との 連 携 を 許 可 している 場 合 画 像 をアップロードすると その 画 像 が Twitter に 自 動 的 にツイートされることになります Facebook とウェブメールサービスとの 連 携 を 許 可 している 場 合 本 人 が 意 図 していなくても ウェブメールサービスのアドレス 帳 に 記 載 しているメールアドレス 宛 てに 自 動 的 に 招 待 状 メ ールが 送 られることになります (2) ミニブログサービスの 特 徴 と 被 害 の 実 例 ここでは ミニブログサービスの 一 つである Twitter の 特 徴 と サービス 連 携 による 被 害 の 一 例 を 示 します Twitter の 特 徴 Twitter では 利 用 者 がそれぞれ 思 いついた 事 などを ツイート(つぶやき 投 稿 ) しています Twitter には 他 の 利 用 者 の ツイート を 見 るための フォロー という 仕 組 みがあります ( 図 1-2) 例 えば 自 分 の 好 きな 芸 能 人 を フォロー しておけば その 芸 能 人 の 動 向 ツイート(つぶやき) を 自 分 の タイムライン( ツイート の 一 覧 表 示 機 能 ) からすばやく 知 ることができます - 2 -
図 1-2:Twitter の 仕 組 みのイメージ 図 悪 意 ある 攻 撃 者 は これらの 仕 組 みを 悪 用 して 利 用 者 を 攻 撃 しようとします 次 に Twitter に おける 具 体 的 な 被 害 の 実 例 を IPA で 検 証 した 結 果 を 踏 まえた 上 で 示 します ( 図 1-3) 図 1-3:Twitter における 被 害 実 例 のイメージ 図 被 害 の 実 例 ( 図 1-3 の 解 説 ) 1 A さんが 自 分 が フォロー している X さんの ツイート があったことを A さん 自 身 のツイート 一 覧 画 面 (タイムライン)で 知 ります A さんは 自 分 が フォロー している 相 - 3 -
手 の ツイート なので 信 用 して その ツイート 内 の URL をクリックします( 図 1-3 の 1 ) 2 URL をクリックすると 新 規 フォロワー 1 を 得 られることをうたうようなページが 表 示 され ます ここで Twitter でログイン というボタンをクリックします( 図 1-3 の 2 ) 3 連 携 サービスを A さんの 権 限 で 動 作 させてもよいか? という 内 容 のページが 表 示 されます ここで ログイン をクリックしてしまうと Twitter の ID とパスワードを 入 力 していないに も 関 わらず A さんの 権 限 をその 連 携 サービスに 対 して 許 可 することになります つまり A さんの Twitter アカウントがその 連 携 サービスに 乗 っ 取 られた 状 態 になってしまいます 2 今 回 IPA で 検 証 したケースでは 連 携 サービスが A さんの 代 わりに 勝 手 に 1 で 受 け 取 った ものと 同 じ 内 容 の ツイート をしてしまうことを 確 認 しました( 図 1-3 の 3 ) 4 A さんをフォローしているユーザー( 例 えば B さん)のツイート 一 覧 画 面 に 連 携 サービス が A さんの 代 わりに 勝 手 に 書 き 込 んだ ツイート が 載 ります( 図 1-3 の 4 ) フォロー という 信 頼 関 係 が 仇 となり 連 携 サービスに 各 ユーザーの 権 限 利 用 を 許 可 してしまう という 被 害 が 連 鎖 式 に 広 がる 恐 れがあります 勝 手 に ツイート されるだけであれば それほど 大 きな 実 害 ではありませんが 問 題 は 連 携 サー ビスにアカウント 利 用 権 限 を 乗 っ 取 られてしまうという 点 です 一 度 連 携 してしまうと 自 分 で 連 携 を 解 除 しない 限 り 連 携 は 基 本 的 に 継 続 します そしてこの 罠 に 騙 された 利 用 者 がある 程 度 の 人 数 になった 時 点 で 連 携 サービス 側 からの 悪 意 ある URL 3 を 含 む ツイートを 一 斉 に 行 う 攻 撃 による 二 次 被 害 が 発 生 するという 脅 威 が 想 定 されます( 図 1-4) 1 フォロワー:Twitter 上 で 自 分 を フォロー するユーザーのこと 2 乗 っ 取 られた 状 態 : 実 際 に 行 われているのは 認 可 情 報 の 委 譲 で アカウントの 乗 っ 取 りではありませ んが 便 宜 上 乗 っ 取 り としています 3 悪 意 ある URL:ウイルス 配 布 サイト フィッシングサイト など 図 1-4:ユーザー 乗 っ 取 り 後 の 二 次 被 害 のイメージ 図 - 4 -
(3) 対 策 対 策 1 不 要 な 連 携 サービスの 取 り 消 し SNS にログインした 状 態 で 設 定 を 確 認 すると 当 該 SNS と 連 携 しているサービスやアプリを 確 認 することができます 明 らかに 不 要 なものや 身 に 覚 えのないものがあれば 削 除 してください 削 除 の 判 断 に 迷 う 場 合 は 各 サービスのヘルプをご 覧 ください Twitter の 場 合 自 分 のアカウントで Twitter にログインした 後 設 定 アプリ 連 携 で 確 認 することがで きます 現 在 連 携 中 のアプリやサービスが 表 示 されますので 不 要 なものは 許 可 を 取 り 消 す をクリックして 連 携 を 取 り 消 してください 図 1-5:Twitter における 連 携 サービス 表 示 画 面 の 例 (2012 年 9 月 15 日 時 点 ) Facebook の 場 合 自 分 のアカウントで Facebook にログインした 後 ホーム アカウント 設 定 アプ リ で 確 認 することができます 現 在 連 携 中 のサービスがすべて 表 示 されますので 不 要 なもの は 右 端 の をクリックして 連 携 を 取 り 消 してください 図 1-6:Facebook における 連 携 サービス 表 示 画 面 の 例 (2012 年 9 月 15 日 時 点 ) Yahoo! Japan の 場 合 自 分 のアカウントで Yahoo! Japan にログインした 後 トップページ 内 の 登 録 情 報 をクリ ックして 登 録 情 報 の 確 認 画 面 を 表 示 させます( 図 1-7 左 ) - 5 -
そこで 外 部 アカウント 連 携 / 解 除 をクリックすると 現 在 連 携 しているサービスの 一 覧 が 表 示 されます( 図 1-7 右 ) 現 在 連 携 中 のサービスについては 解 除 と 表 示 されます その 中 で 不 要 なものは 解 除 を クリックして 連 携 を 取 り 消 してください 図 1-7:Yahoo! Japan における 連 携 サービス 表 示 画 面 の 例 (2012 年 9 月 15 日 時 点 ) 対 策 2 他 者 の 投 稿 (ツイートなど)に 書 かれている URL を 安 易 にクリックしない 他 者 の 投 稿 やツイートに 書 かれている URL を 簡 単 にクリックすると 悪 意 あるサービスのサ イトに 転 送 されて 知 らないうちにそのサービスと 連 携 してしまう 恐 れがあります 知 り 合 いによる 投 稿 (ツイート)でも 安 易 にクリックしないようにしてください 手 口 として 短 縮 URL 4 が 使 用 されることも 多 いようです 特 に Twitter は 1 回 で 入 力 で きる 文 字 数 の 制 限 があり 長 い URL が 収 まりきらないことがあるため リンクを 提 示 する 際 に 短 縮 URL が 頻 繁 に 使 われます 短 縮 URL は クリックするまでどのようなウェブサイトに 誘 導 されるかわからず 悪 意 あるサイトへ 誘 導 される 可 能 性 があります 短 縮 URL をクリックする 前 に 短 縮 URL を 本 来 の URL で 表 示 するツールやサービス を 使 用 し URL の 信 頼 性 を 確 認 してください また 短 縮 URL の 文 字 列 全 体 をインターネット 検 索 することで ある 程 度 その 内 容 と 危 険 性 を 確 認 できる 場 合 があります 4 短 縮 URL: 長 い URL 文 字 列 を 短 縮 して 利 用 できるサービス 例 えば http://www.ipa.go.jp/security/personal/yobikake/index.html を 短 くすると http:// /5G5G3g となります ( は 短 縮 サービスを 行 うサイト 名 ) - 6 -
対 策 3 連 携 先 のサービスの 評 判 を 確 認 する 特 に 不 正 なサービスの 場 合 はインターネット 上 で 情 報 が 見 つかる 場 合 があります よく 知 らな いサービスと 連 携 する 前 には 事 前 に 口 コミなどで 評 判 を 確 認 することを 勧 めます (4)こんなときは 怪 しいツイートや DM(ダイレクトメール)が 届 いた 怪 しいリンク 先 が 書 かれている SNS やブロ グなどの 投 稿 文 を 見 つけた などがありましたら IPA 安 心 相 談 窓 口 までご 連 絡 ください まずは ご 相 談 ください 安 心 相 談 窓 口 の 問 合 せ 先 電 話 E-mail 03-5978-7509 (オペレータ 対 応 は 平 日 の 10:00~12:00 および 13:30~17:00) anshin@ipa.go.jp このメールアドレスに 特 定 電 子 メールを 送 信 しないでください FAX 03-5978-7518 郵 送 113-6591 東 京 都 文 京 区 本 駒 込 2-28-8 文 京 グリーンコート センターオフィス 16 階 IPA セキュリティセンター 情 報 セキュリティ 安 心 相 談 窓 口 宛 お 問 い 合 わせ 先 IPA 技 術 本 部 セキュリティセンター 加 賀 谷 / 青 木 Tel:03-5978-7591 Fax:03-5978-7518 E-mail: - 7 -
OAuth に 関 する 技 術 的 解 説 (2)ミニブログサービスの 特 徴 と 被 害 の 実 例 の 実 例 は 連 携 先 のサービスに ID とパスワード を 教 えることなく 連 携 可 能 な OAuth(オーオース) の 仕 組 みを 巧 みに 利 用 したものです OAuth を 活 用 して 連 携 先 のサービスと 連 携 することで 多 くの 便 利 なサービスがおこなわれていま すが この 仕 組 みを 悪 用 されると ID とパスワードを 誰 にも 教 えていないのに 勝 手 に SNS 上 で 悪 事 をされてしまいます 前 述 の 実 例 において 発 生 するやり 取 りの 技 術 的 解 説 を 以 下 に 示 します( 図 1-8) 図 1-8:サービス 連 携 時 に 発 生 するやり 取 りの 概 要 1 A さんが 前 述 (2) 2 の 画 面 上 で Twitter でログイン をクリックします 実 はこの 行 為 は 連 携 サービス 側 に 対 して Twitter と 連 携 する 手 続 きを 開 始 するように 指 示 する 行 為 とな ります 2 連 携 サービス 側 が Twitter に 対 して 鍵 の 使 用 申 請 書 に 匹 敵 するもの( 正 式 には リク エストトークン )を 要 求 し 受 け 取 ります 3 連 携 サービス 側 が A さんを Twitter 上 のページにリダイレクトさせます その 際 鍵 の 使 用 申 請 書 も 同 時 に 転 送 5 します 4 A さんが 3で 転 送 されたページ 上 で ログイン をクリックします これは 鍵 の 使 用 申 請 書 に A さんが 許 可 のサインをすることに 相 当 します 5 Twitter が A さんを 連 携 サービス 側 のページにリダイレクトさせます その 際 A さ んサイン 済 の 鍵 の 使 用 申 請 書 も 一 緒 に 転 送 されます 6 連 携 サービス 側 が Twitter と 通 信 し A さんサイン 済 の 鍵 の 使 用 申 請 書 と 鍵 ( 正 式 には アクセストークン )を 交 換 します 以 後 連 携 サービス 側 は この 鍵 を 持 っているこ とで Twitter 上 で A さんしかできないことを A さんの 代 わりに 実 行 することができます 5 鍵 の 使 用 申 請 書 も 同 時 に 転 送 : 実 際 には リクエストトークンを URL パラメータとして URL に 付 加 します 以 上 の1~6の 過 程 を 踏 むことにより 連 携 サービス が A さんの 権 限 で Twitter 上 でツイート したり 第 三 者 をフォローしたりすることができます 逆 に A さんから 見 ると その 連 携 サービ ス に 権 限 を 委 譲 したつもりは 無 いのに 何 気 なくクリックしただけで 勝 手 にツイートされたり 第 三 者 を 勝 手 にフォローされたりすることになります - 8 -